KI-API-Key-Sicherheit und Kostenkontrolle
Schützen Sie Workloads mit getrennten Keys, Quota, Ablauf, Modellgrenzen, IP-Regeln und nachvollziehbarem Routing.
Ein KI-API-Key sollte eine kontrollierbare Workload identifizieren, nicht dauerhaft die ganze Organisation. Separate Keys machen Zugriff, Quota, Routing, Rotation und Kostenzuordnung unabhängig und verhindern ein gemeinsames Secret für unverbundene Anwendungen.
Ein Key pro Workload
Trennen Sie Production-API, Worker, Entwicklung, CI, Agenten, Kundenanwendungen, zeitlich begrenzte Mitarbeit und teure Batch-Jobs. Namen wie prod-support-agent beschreiben Umgebung und Zweck, ohne das Secret offenzulegen.
Der vollständige Key bleibt in einem serverseitigen Secret Manager. Er gehört nicht in Browser-JavaScript, mobile Pakete, Repositories, Images, Screenshots, Tickets, Analytics, Logs, URLs oder echte Beispiele. Browser rufen ein eigenes Backend auf, das den Nutzer prüft und den Key hält. Bei möglichem Leak: Ersatz erstellen, Traffic umstellen, alten Key widerrufen.
Quota, Ablauf und Modelle kombinieren
Eine endliche Quota begrenzt die zurechenbare Nutzung; ein Ablaufdatum begrenzt die Lebensdauer; Widerruf stoppt neuen Zugriff sofort. Entwicklungs-, Evaluations- und temporäre Keys benötigen meist Quota und Ablauf. Production profitiert trotz größerer Grenze von getrennter Zuordnung und Rotation.
Modellgrenzen verhindern versehentliche inkompatible oder teure Nutzung und liefern eine klare 403-Grenze. Sichtbarkeit garantiert nicht, dass der Endpunkt das Format unterstützt; prüfen Sie Modelle & Preise.
IP-Regeln nur bei stabilem Egress
Die Allowlist vergleicht die von Modelflare beobachtete Adresse mit IPs oder CIDRs. NAT-, Proxy-, IPv4/IPv6- oder Netzwerkänderungen können Traffic blockieren. Prüfen Sie den echten Egress und halten Sie einen Rotationsweg bereit. IP-Regeln ersetzen keinen Secret-Schutz.
Routing bewusst wählen
| Typ | Verhalten | Geeignet für |
|---|---|---|
| Regulärer API Key | Primärgruppe und geordnete Fallbacks | Bekannte Reihenfolge und Gruppenpolicy |
| Smart API Key | Bewertet verfügbare Gruppen ausgewogen, stabilitäts- oder preisorientiert | Breitere automatische Auswahl |
Routing wählt eine berechtigte Gruppe für das angeforderte Modell; es garantiert nicht jede Funktion. Testen Sie Kompatibilität, Latenz und Preis anhand von Zuverlässigem Routing.
Rotation ohne vermeidbaren Ausfall
- Neuen Key mit geplanten Grenzen erstellen.
- In das Secret-System eintragen und parallel zum alten deployen.
- Modellzugriff, einen realen Request und dessen Datensatz prüfen.
- Alten Key aus allen Deployments entfernen.
- Widerrufen und auf Restzugriffe überwachen.
Mit getrennten Keys lassen sich Modell, Gruppe, Ein- und Ausgabe, Status, Retries und Kosten vergleichen. Die Quota stoppt weitere Nutzung; Datensätze erklären den Verbrauch. Mehr dazu in KI-API-Kostenverfolgung.